MEIN: Anmeldung von JWT

Question

[Q1] Welchen Vorteil bietet ein HTTP-Interceptor beim Ändern der config.headers ["Authorization"] (Frontend AngularJS), um den Wert von Token zu enthalten, wenn ich die Anfragen durch Überprüfung überprüfen kann das req.cookies-Objekt? (im Backend NodeJS)

Ich versuche zu verstehen, wie JSON-Web-Token funktionieren. Die Demo-Anwendung, die ich eingerichtet habe, hat eine Login-Funktionalität.

1. Auf GET '/ login' kann ich ein Token erstellen, ein Cookie damit setzen.
2. Am Frontend kann ich auf ein JSON-Objekt zugreifen, das das Token enthält.
3. Ich kann den Cookie in der Entwicklerkonsole anzeigen.

NodeJS:

index.js - Login Route

router.post('/login', function(req, res, next) { 
    Authenticator.find(req.cookies.token, req.body, Heartbeat.common, function(err, warning, data){ 
    if(err) { 
     res.status(404).send({token:false, warning: null, error:err}); 
    } else if(warning){ 
     res.status(200).send({token:true, warning: warning, error:null}); 
    } else { 
     res.cookie('token', data, {maxAge: 3600000, httpOnly:true}); 
     res.status(200).json({token:true, error: null}); 
    } 
    }); 
}); 

Authenticator.ctrl.js - Authenticator.find()

find: function(token, user, heartbeat, callback) { 
    if(!token) { 
    Auth.findOne({email:user.email}, function(err, data){ 
     if(err) { 
     console.log(err); 
     } else { 
     if(data) { 
      if(data.checkHash(user.password)) { 
      callback(null, null,TokenMaker.createToken(user.email, heartbeat)); 
      } else { 
      callback(Errors.login.strict.MISMATCH, null, null); 
      } 
     } else { 
      callback(Errors.login.strict.NOT_REGISTERED, null, null); 
     } 
     } 
    }); 
    } else { 
    callback(null, Errors.login.warning.ACTIVE_REFRESH, null); 
    } 
}, 

Winkelregler

app.controller('userAccessCtrl', ['$scope', '$http', function ($scope, $http){ 
    $scope.user = { 
    email: "someone@some.com", 
    password: "12345679" 
    }; 
    $scope.error = {}; 
    $scope.loginAccess = function(user) { 
    var submitReady = true; 
    var emailStatus = EmailValidator.email(user.email); 
    var passwordStatus = EmailValidator.password(user.password); 
    if(typeof emailStatus === "string") { 
     $scope.error.email = emailStatus; 
     submitReady = false; 
    } 
    if(typeof passwordStatus === "string") { 
     $scope.error.password = passwordStatus; 
     submitReady = false; 
    } 
    if(submitReady) { 
     $scope.error = {} 
     var data = $scope.user; 
     $scope.user = {}; 
     $http.post('/login', data) 
     .then(function(success){ 
      console.log(success); 
      },function(error){ 
      console.log(error); 
     }); 
    } 

} 
}]); 

Console Antwort:

{ 
    "data": { 
    "token":true, 
    "error":null 
    }, 
    "status":200, 
    "config":{ 
    "method":"POST", 
    "transformRequest":[null], 
    "transformResponse":[null], 
    "url":"/login", 
    "data":{ 
     "email":"someone@some.com", 
     "password":"12345679" 
    }, 
    "headers":{ 
     "Accept":"application/json, text/plain, */*", 
     "Content-Type":"application/json;charset=utf-8" 
    } 
    }, 
    "statusText":"OK" 
} 

Answer 1

Eigentlich ist es eine falsche Cookies und JWT Token zu verwenden. JWT-Token ist viel besser für die Authentifizierung als Cookies. Wenn Sie token verwenden, muss Ihr Server keine Sitzung in der Speicherdatenbank speichern. Dies ist ein großer Vorteil für Ihre Anwendung. Sie können Ihre Anwendung skalieren, neue Server hinzufügen, ohne darüber nachzudenken, wie Sitzungen zwischen Servern synchronisiert werden.

Kurz gesagt, wenn Sie JWT verwenden Token Ihre Flow nächsten ist:

• Frontend (in Ihnen Fall ist es ein Winkel) sendet Login und Passwort/Login Route
• Anmeldeinformationen Backend prüft und sendet Token (in Anfrage Körper, nicht in Cookies)
• Frontend App speichert Token im lokalen Speicher oder Sitzungsspeicher des Browsers

• und Sie können HTTP Interceptor schreiben, die alle Anforderungen an Backend ab und es wird „Autorisierung“ heade anhängen r auf alle Anfragen, es sieht aus wie nächste:

  Authorization: Inhaber hier-ist-your-jwt-Token

• Backend diese Berechtigung Header überprüfen und wenn es richtig ist (siehe http://jwt.io zu lesen, wie Verifikation funktioniert) Backend kann Ihre Anfrage bedienen.